Twoody
01 Responsable du traitement
Le responsable du traitement est Osmove SASU, 146 ave Léon Blum, 92160 Antony, France (RCS Nanterre 902 644 970). Contact : support@twoody.com.
Confidentialité
Politique de confidentialité
Cette politique couvre l'app Twoody sur votre ordinateur et ce site. En bref : l'app garde vos données sur votre ordinateur. Pendant la bêta, elle partage par défaut des mesures techniques sans contenu, que vous pouvez désactiver ; jamais vos conversations ni vos documents, sauf si vous cochez le partage du détail. Ce qui en sort est listé ci-dessous, point par point. Le compte Twoody en ligne, facultatif, a sa propre politique.
Dernière mise à jour : 28 octobre 2026
L'app Twoody sur votre ordinateur
L'app fonctionne sans compte, sur Mac, et en bêta privée sur Windows et Linux. Sans compte — et, avec un compte, pour vos conversations privées — nous ne recevons ni vos conversations, ni vos documents, ni vos mémoires, sauf si vous cochez « Partager aussi le détail de chaque réponse » : voici ce qu'elle garde, et tout ce qu'elle envoie sur Internet.
02 Vos données sont enregistrées sur votre ordinateur
Vos conversations, vos mémoires, l'index de vos documents et les modèles installés sont enregistrés dans le dossier de données de l'app — ~/Library/Application Support/twoody-desktop sur Mac, %APPDATA%\twoody-desktop sur Windows, ~/.config/twoody-desktop sur Linux —, dans une base de données locale lisible par votre seul compte utilisateur. Depuis la version 0.13.99, Twoody chiffre lui-même cette base (AES-256), ainsi que les jetons et mots de passe des connecteurs et des boîtes mail, avec une clé créée sur votre ordinateur, gardée par le trousseau du système et jamais envoyée. Au premier lancement de cette version, la base existante est chiffrée et son ancienne copie en clair est placée dans la Corbeille, où elle reste lisible jusqu'à ce que vous la vidiez. Sous Linux sans trousseau disponible, la base reste en clair. Les modèles et vos documents eux-mêmes ne sont pas chiffrés par Twoody : le chiffrement du disque (FileVault, BitLocker, LUKS) les protège, s'il est activé. La lecture des PDF scannés (reconnaissance de caractères) se fait sur votre Mac, par macOS, et la dictée est transcrite sur votre ordinateur. Les jetons de votre compte et une éventuelle clé d'API Brave Search sont gardés dans le trousseau du système ; sous Linux, sans trousseau disponible, ils sont gardés en clair dans le dossier de l'app. Pour tout effacer : désinstallez l'app, puis supprimez ce dossier.
03 Des diagnostics et des rapports de plantage sans contenu, pendant la bêta
Pendant la bêta, « Partager des diagnostics techniques » est coché par défaut dans les réglages de l'app (Confidentialité) ; dans les versions stables, il ne l'est pas. Rien n'est envoyé avant la fin du premier lancement. Coché, l'app envoie toutes les 15 minutes des mesures sur ses réponses : modèle utilisé (un modèle du catalogue de Twoody par son nom, tout autre comme « personnalisé »), durées, nombre de tokens, part servie par le cache, lecture ou non de vos documents, noms des outils utilisés, tailles, erreurs. Chaque envoi porte la version de l'app, le système et sa version (par exemple macOS 15.4 ou Windows 11) et l'architecture (Apple Silicon, ou Intel ou AMD 64 bits). Une fois par jour, même sans utilisation, l'app envoie aussi un relevé de l'installation : langue de l'interface, version bêta ou stable, date du premier lancement, compte relié ou non, nombre de téléphones appairés (0, 1, 2 ou plus), les réponses au premier lancement des versions antérieures à la 0.13.91, qui le demandaient (personnel ou travail, seul ou en équipe), capacités activées, moteur du modèle (Metal, Vulkan ou processeur) et familles de moteurs configurés, modèle par défaut (même règle que ci-dessus), nombre de modèles installés, et la tranche de mémoire, la famille de puce et le fabricant de la carte graphique de l'ordinateur : des catégories larges, jamais un numéro de série ni le nom de l'ordinateur. À la fin du premier lancement, si la case est alors cochée, elle envoie une fois les capacités activées et si vous avez passé cet écran (jusqu'à la version 0.13.90, aussi vos réponses aux questions qu'il posait, dont le métier choisi dans la liste proposée). Elle n'envoie jamais une question, une réponse, un souvenir, un document, un nom de fichier ou une recherche. Si l'app plante, la même case envoie aussi un rapport de plantage : le type d'erreur, son message et les lignes du code de Twoody où elle s'est produite — chemins de fichiers, adresses web et e-mail et textes cités retirés —, le processus concerné (fenêtre, serveur intégré, moteur du modèle), les dernières lignes techniques du moteur s'il s'est arrêté, la version de l'app et le système. Un plantage de l'app elle-même laisse sur l'ordinateur un fichier technique (minidump) qui n'est jamais envoyé : seul le fait qu'il existe l'est. Case décochée, ces rapports restent sur l'ordinateur. Si votre ordinateur est relié à un compte Twoody, ces mesures vont à ce compte ; sinon, elles vont à twoody.com sous un numéro tiré au hasard par votre installation, sans nom ni e-mail (notre serveur voit aussi l'adresse IP d'où elles viennent). Si vous reliez plus tard cet ordinateur à un compte, les mesures déjà envoyées y sont rattachées. Une seconde case, « Partager aussi le détail de chaque réponse », est décochée par défaut : cochée, l'app envoie chaque réponse en entier, pour nous permettre d'auditer et d'améliorer Twoody — votre question, les instructions données au modèle avec les souvenirs et contacts qu'elles contenaient, les arguments et résultats des outils, et la réponse —, seulement pour les réponses données après que vous l'avez cochée. Décocher une case arrête l'envoi. Avec ces mesures, notre serveur tient un résumé par installation : première et dernière fois vue, première et dernière version, jours d'utilisation, nombre de réponses, d'échecs et de plantages, compte rattaché. Si les statistiques d'utilisation de votre compte sont désactivées, ces mesures et rapports sont refusés et rien n'en est gardé. Ces données sont gardées tant que le compte existe ; sans compte, elles sont effacées sur demande à support@twoody.com avec le numéro de l'installation, affiché dans les réglages. Sur l'ordinateur, l'app garde le détail de chaque réponse (⋮ sous une réponse, ou écran Utilisation → Diagnostic).
04 La recherche de mises à jour
C'est, avec les diagnostics de la bêta et ce que vous reliez vous-même (e-mails, maison, connecteurs), le seul échange automatique de l'app sans compte. À son lancement (à partir du deuxième) et la nuit, ou peu après le réveil de l'ordinateur s'il dormait, elle demande un petit fichier à downloads.twoody.com (servi par Cloudflare) pour savoir s'il existe une nouvelle version. Ce serveur voit la demande et l'adresse IP d'où elle vient, rien qui distingue votre ordinateur d'un autre ; nous n'en gardons que des totaux par jour, système et pays, sans adresse IP. Rien n'est téléchargé sans votre clic, et ces vérifications se désactivent dans les Réglages. Sous Linux, l'app ne fait pas cette vérification : vous installez vous-même les nouvelles versions.
05 Les modèles que vous installez
Quand vous installez un modèle depuis Twoody, ou le modèle de dictée à sa première utilisation, ses fichiers sont téléchargés depuis Hugging Face (huggingface.co), qui voit ce téléchargement comme celui de n'importe quel visiteur : adresse IP et fichier demandé. Sur un Mac à puce Apple, si vous installez MLX (Modèles › Avancé), Twoody télécharge aussi son propre Python depuis GitHub (github.com) et les paquets de mlx-lm depuis l'index Python PyPI (pypi.org et files.pythonhosted.org), chacun vérifié par son empreinte ; ces services voient, eux aussi, l'adresse IP et les fichiers demandés. Les modèles MLX viennent de Hugging Face, comme les autres. Si vous utilisez un modèle de LM Studio, d'Ollama ou de mlx-lm, ce que ces applications contactent dépend de leurs propres réglages.
06 La recherche web, si vous l'activez
Elle est désactivée par défaut. Quand vous l'activez, votre recherche est envoyée au moteur choisi — DuckDuckGo par défaut, Brave Search avec votre clé d'API, ou votre serveur SearXNG — puis l'app récupère les premières pages trouvées. Ce moteur et ces sites voient les requêtes de votre ordinateur, comme lors d'une recherche dans un navigateur ; vos documents ne leur sont pas envoyés. Depuis votre iPhone, quand vous activez « Recherche Internet », c'est votre ordinateur qui fait la recherche, de la même façon : la question part de votre ordinateur vers le moteur choisi dans ses Réglages, les premières pages sont lues par lui et données au modèle avec votre question ; entre votre iPhone et votre ordinateur, elle passe par votre réseau ou par le relais chiffré, qui ne peut pas la lire.
07 Code et l'Agent (bêta)
Code et l'Agent lisent les fichiers du dossier que vous ouvrez avec un modèle qui tourne sur votre ordinateur. Ils ne les envoient pas sur Internet ; seule la recherche web, si vous l'activez, fait sortir vos recherches.
08 Les connecteurs (bêta)
Désactivés par défaut. Quand vous ajoutez un connecteur (un serveur MCP), l'app le lance sur votre ordinateur ou se connecte à l'adresse que vous donnez, et seulement à elle. Quand ce serveur se lance avec npx ou uvx, l'app demande une fois, au moment où vous l'ajoutez ou cliquez sur « Fixer la version » ou « Mettre à jour », la dernière version du paquet au registre public concerné (registry.npmjs.org pour npx, pypi.org pour uvx), pour la fixer et vous la montrer avant tout lancement ; ce registre voit le nom du paquet et l'adresse IP d'où vient la demande, et Twoody n'en reçoit rien. npx et uvx téléchargent ensuite eux-mêmes le paquet depuis ces registres. « Toujours autoriser » n'est proposé que pour les outils que leur serveur déclare en lecture seule. Avant chaque appel d'un de ses outils, l'app vous demande votre accord, sauf pour les outils que vous avez choisi de « Toujours autoriser » ; ce que l'outil reçoit (les arguments affichés) part alors vers ce service, qui le traite selon ses propres règles, et sa réponse est lue par le modèle de votre ordinateur. Si le service demande une connexion, vous vous connectez dans votre navigateur, sur sa propre page. Les jetons obtenus, et ceux que vous saisissez, restent sur votre ordinateur dans un fichier lisible par votre seul compte utilisateur : Twoody n'en reçoit rien. Google Analytics et Search Console se relient, eux, avec « Se connecter avec Google » dans Connecteurs : l'app ouvre la page de connexion de Google (accounts.google.com) dans votre navigateur, où vous autorisez Twoody à consulter, en lecture seule, vos données Google Analytics (analytics.readonly) et celles de la Search Console pour vos sites validés (webmasters.readonly). Cette liaison n'est proposée qu'aux comptes Twoody pour lesquels Osmove l'active. L'autorisation et l'adresse e-mail du compte restent sur l'ordinateur, dans le dossier de l'app (fichier lisible par votre seul compte d'utilisateur), et ne sont jamais réaffichées. Quand un message parle des statistiques de votre site, ou que le modèle en a besoin pour répondre, votre ordinateur demande directement à Google la liste de vos propriétés et de vos sites, les chiffres demandés (visiteurs, pages, sources, requêtes de recherche, clics, impressions, position) ou l'état d'indexation d'une page, auprès de oauth2.googleapis.com, analyticsadmin.googleapis.com, analyticsdata.googleapis.com, www.googleapis.com et searchconsole.googleapis.com ; Google voit ces demandes et l'adresse IP d'où elles viennent. Les réponses ne vont qu'au modèle que vous utilisez (sur cet ordinateur ou un autre de vos ordinateurs) et ne passent jamais par les serveurs de Twoody ; les diagnostics, si vous les partagez, n'en contiennent que le nom des outils appelés. Rien n'est jamais modifié chez Google. Désactiver ce connecteur arrête ces demandes ; le retirer oublie l'autorisation, que vous pouvez aussi retirer à tout moment dans votre compte Google. Pour afficher l'icône d'un connecteur, l'app demande aussi au même site, au plus une fois par jour, sa page d'accueil et son icône, sans y joindre votre jeton. Depuis votre iPhone, les outils des connecteurs s'utilisent de la même façon : la demande d'accord s'affiche sur l'iPhone qui a posé la question, et l'appel part de votre ordinateur.
09 La maison (Home Assistant), si vous l'activez
Désactivée par défaut. Si vous donnez l'adresse de votre Home Assistant et un jeton créé par vous, l'app lui envoie, depuis votre ordinateur, les commandes que vous demandez et lit l'état de vos appareils. L'adresse et le jeton sont gardés dans la base de l'app, sur votre ordinateur. Ni vos commandes ni l'état de vos appareils ne passent par nos serveurs. Jusqu'au 11 octobre 2026, Twoody Server lancé seul (sur un Raspberry Pi, par exemple), relié à un compte et configuré avec Home Assistant, envoyait au compte toutes les quatre minutes la liste de vos appareils pilotables et leur état, que le compte gardait cinq minutes et dont il pouvait se servir pour vous signaler un nouvel appareil par une notification ; il ne le fait plus, et le compte refuse ces envois.
10 Vos e-mails, si vous les reliez
Désactivés par défaut. Cette capacité n'est proposée qu'aux comptes Twoody pour lesquels Osmove l'active. Dans Capacités › E-mails, vous pouvez relier une boîte (Gmail, iCloud, Orange, Free, OVH, Yahoo, Proton Mail via Bridge…) avec un mot de passe d'application créé chez votre fournisseur. L'app se connecte alors, depuis votre ordinateur et de façon chiffrée (TLS), au seul serveur de messagerie que vous avez indiqué, toutes les 10 minutes tant que la capacité est activée : elle lit vos dossiers Réception et Envoyés sur la période choisie (90 jours au départ) et en garde une copie sur l'ordinateur, dans laquelle le modèle installé cherche quand vous le lui demandez. Elle ne marque rien comme lu, ne supprime ni ne déplace rien et n'envoie aucun e-mail ; elle n'écrit qu'un brouillon dans votre dossier Brouillons, après votre accord. Le mot de passe est gardé sur l'ordinateur, dans le dossier de l'app, et n'est jamais réaffiché. Ni lui ni vos e-mails ne nous parviennent. Retirer la boîte oublie le mot de passe ; vous choisissez alors de garder ou d'effacer la copie locale. Une boîte Outlook.com ou Microsoft 365 se relie, elle, avec la connexion Microsoft, sans IMAP : l'app ouvre la page de connexion de Microsoft (login.microsoftonline.com) dans votre navigateur, où vous vous connectez et accordez à Twoody l'accès en lecture et en écriture à votre boîte (Mail.ReadWrite), dont Twoody se sert pour lire vos messages et, avec votre accord, y enregistrer un brouillon, jamais pour envoyer, déplacer ou supprimer. Votre mot de passe Microsoft ne passe jamais par Twoody : Microsoft remet à l'app, sur votre ordinateur, cette autorisation et l'adresse e-mail du compte, seule information de votre profil que l'app garde. L'app lit alors votre boîte chez Microsoft Graph (graph.microsoft.com) : vos dossiers Réception et Envoyés sur la période choisie, puis leurs changements toutes les 10 minutes tant que la capacité est activée (texte des messages, expéditeurs et destinataires, dates, état lu ou suivi, et le nom, le type et la taille des pièces jointes, jamais leur contenu), et en garde une copie sur l'ordinateur comme ci-dessus ; un message supprimé ou déplacé chez Microsoft y est masqué, sans être effacé. Elle renouvelle l'autorisation auprès de Microsoft environ une fois par heure ; Microsoft voit ces demandes et l'adresse IP d'où elles viennent. Une boîte reliée avec Twoody 0.13.76 reste lue en IMAP chez Microsoft (outlook.office365.com) jusqu'à ce que vous vous reconnectiez. L'autorisation est gardée dans le dossier de l'app (fichier lisible par votre seul compte d'utilisateur), la même que pour l'agenda et les contacts Outlook s'ils sont reliés au même compte, et n'est jamais réaffichée ; retirer la boîte arrête sa lecture. Vous pouvez aussi retirer l'autorisation à tout moment dans votre compte Microsoft. Une boîte Gmail peut aussi se relier avec « Se connecter avec Google », sans mot de passe d'application ni IMAP : l'app ouvre la page de connexion de Google (accounts.google.com) dans votre navigateur, où vous vous connectez et autorisez Twoody à lire votre boîte (gmail.readonly) et à y créer des brouillons (gmail.compose), dont Twoody ne se sert jamais pour envoyer, supprimer, déplacer ou modifier un message. Votre ordinateur échange alors directement avec Google : accounts.google.com pour la connexion, oauth2.googleapis.com pour obtenir puis renouveler l'autorisation (environ une fois par heure tant que la capacité est activée) et gmail.googleapis.com pour lire vos dossiers Réception et Envoyés comme ci-dessus (puis leurs changements toutes les 10 minutes) et créer les brouillons que vous autorisez ; rien ne passe par les serveurs de Twoody. Votre mot de passe Google ne passe jamais par Twoody : l'autorisation et l'adresse e-mail du compte restent sur l'ordinateur, dans le dossier de l'app (fichier lisible par votre seul compte d'utilisateur), et ne sont jamais réaffichées ; Google voit ces demandes et l'adresse IP d'où elles viennent. Retirer la boîte oublie l'autorisation ; vous pouvez aussi la retirer à tout moment dans votre compte Google. Depuis votre iPhone, vous pouvez aussi poser une question sur vos e-mails ou demander un brouillon : la question part de votre iPhone vers votre ordinateur, qui cherche dans sa copie avec son propre modèle ; la réponse, avec ce qu'elle cite de vos e-mails, et l'aperçu du brouillon (destinataires, objet, début du texte) reviennent sur votre iPhone, chiffrés de bout en bout entre vos appareils, sans jamais passer en clair par nos serveurs. Le brouillon n'est enregistré qu'après votre accord, donné sur l'iPhone ; rien n'est jamais envoyé. L'utilisation et le transfert à toute autre application, par Twoody, des informations reçues des API Google (Gmail, Google Analytics, Search Console) respectent la Règle relative aux données utilisateur des services d'API Google (Google API Services User Data Policy, https://developers.google.com/terms/api-services-user-data-policy), y compris les exigences d'utilisation limitée (Limited Use) : ces données ne servent qu'aux fonctions que vous utilisez dans l'app, ne sont ni vendues ni utilisées pour de la publicité, et ne servent pas à entraîner des modèles d'IA.
11 Votre agenda et vos contacts Outlook, si vous les reliez
Désactivés par défaut. Dans Capacités › Agenda ou Contacts, vous pouvez relier un compte Outlook.com ou Microsoft 365 avec la connexion Microsoft : l'app ouvre la page de connexion de Microsoft (login.microsoftonline.com) dans votre navigateur, où vous vous connectez et autorisez Twoody à lire votre agenda (Calendars.Read) ou vos contacts (Contacts.Read). Votre mot de passe Microsoft ne passe jamais par Twoody : Microsoft remet à l'app, sur votre ordinateur, cette autorisation et l'adresse e-mail du compte, seule information de votre profil que l'app garde. Tant que la capacité est activée, l'app lit alors, depuis votre ordinateur, vos calendriers (Agenda) ou vos contacts (Contacts) chez Microsoft Graph (graph.microsoft.com), en lecture seule, toutes les 15 minutes et quand vous le demandez, et renouvelle l'autorisation auprès de Microsoft environ une fois par heure ; Microsoft voit ces demandes et l'adresse IP d'où elles viennent. Elle garde sur l'ordinateur une copie des événements des 30 derniers jours et de l'année à venir (titre, horaires, lieu, nom du calendrier, début de la description) et des contacts (noms, société, e-mails, téléphones, anniversaire, adresses postales), dans laquelle le modèle installé cherche quand vous le lui demandez ; elle ne lit ni les participants, ni les pièces jointes, ni les photos. L'autorisation est gardée dans le dossier de l'app (fichier lisible par votre seul compte d'utilisateur) et n'est jamais réaffichée. Ni elle ni ces données ne nous parviennent. Couper la capacité retire sa copie ; retirer le compte Microsoft oublie l'autorisation et retire les deux copies. Vous pouvez aussi retirer l'autorisation à tout moment dans votre compte Microsoft.
12 Vos relevés bancaires, si vous les importez
Désactivés par défaut. Dans Capacités › Banque, vous pouvez importer des relevés exportés de votre banque (CSV, OFX, QIF). Ils sont lus et gardés sur l'ordinateur, et le modèle installé y cherche quand vous le lui demandez : soldes, opérations, dépenses par catégorie. L'app ne se connecte à aucune banque et rien de ces relevés ne nous parvient. Dans une conversation gardée sur votre compte, la réponse du modèle, qui peut citer des montants, y est gardée chiffrée de bout en bout, comme les autres messages.
13 Nous écrire
« Nous écrire » (dans l'app pour ordinateur : Réglages › À propos et, sur Mac, le menu Aide ; dans l'app iPhone : Réglages › Aide) ouvre un court formulaire. Si vous êtes connecté à un compte Twoody, votre message est envoyé à nos serveurs (partie B) avec la langue de l'app, l'app dont il vient (ordinateur, iPhone ou Android) et, si vous la laissez, une adresse e-mail où vous répondre (celle du compte est proposée ; vous pouvez la changer ou l'effacer). La case « Joindre les détails techniques », décochée par défaut, y ajoute la version de l'app et celle du système ; sur l'ordinateur, le type de processeur et le modèle de la dernière réponse ; sur l'iPhone, le modèle d'iPhone. Jamais vos conversations, vos documents ni vos mémoires. Nous lisons le message dans notre console d'administration pour vous répondre ; un e-mail nous signale son arrivée, sans le message ni votre adresse. Il est gardé tant que le compte existe, jusqu'à sa suppression ou à votre demande d'effacement. Sans compte, ou si le compte ne répond pas, le formulaire ouvre votre messagerie avec un message adressé à support@twoody.com (les détails techniques seulement si la case est cochée) : l'app n'envoie rien elle-même, le message ne part que si vous l'envoyez. Sous une réponse, dans l'app pour ordinateur comme dans l'app pour téléphone, le bouton ⋮ › « Signaler la réponse » envoie de la même façon un signalement à nos serveurs : la catégorie que vous choisissez (offensante, fausse, dangereuse ou autre), votre commentaire si vous en écrivez un, le nom du modèle qui a répondu et l'app (ordinateur, iPhone ou Android). Le texte de la réponse n'est joint que si vous cochez « Joindre la réponse signalée », décochée par défaut : il est alors envoyé à Osmove et gardé avec le signalement. Jamais votre question ni le reste de la conversation, ni adresse e-mail, langue ou détails techniques. Nous lisons les signalements dans notre console d'administration pour repérer les réponses qui posent problème ; un e-mail nous signale leur arrivée, sans leur contenu. Ils sont gardés comme les messages, tant que le compte existe. Sous chaque réponse donnée par l'un de vos ordinateurs, dans l'app pour ordinateur comme dans l'app pour téléphone, les boutons 👍 et 👎 gardent votre avis sur cet ordinateur et l'envoient à nos serveurs : l'avis et, pour un 👎, la raison que vous choisissez (fausse, n'a pas fait ce que vous avez demandé, a dit l'avoir fait sans le faire, pas dans votre langue, trop longue, autre chose) et votre commentaire si vous en écrivez un ; le nom du modèle du catalogue de Twoody qui a répondu ; l'app et sa version ; l'identifiant de la réponse, un numéro sans son texte. Depuis l'app pour ordinateur, et seulement tant que « Partager des diagnostics techniques » est cochée, s'y ajoutent les détails techniques de cette réponse, les mêmes que ceux des diagnostics (outils utilisés, tailles, durées), sans aucun mot de la conversation. Jamais votre question, la réponse ni le reste de la conversation ; rien d'une réponse donnée dans un projet cloisonné, dont l'avis reste sur l'ordinateur ; sans compte Twoody, l'avis est envoyé de la même façon, rattaché seulement à l'identifiant tiré au hasard de cette installation de l'app (le même que pour les diagnostics), sans nom ni adresse e-mail, puis au compte auquel vous la connecteriez ensuite. Vous pouvez changer d'avis ou le retirer : le changement est envoyé de la même façon. Nous lisons ces avis dans notre console d'administration, en nombre et un par un pour les 👎, pour améliorer les réponses de Twoody. Ils sont gardés comme les messages, tant que le compte existe.
14 Le compte Twoody, seulement si vous vous connectez
Depuis l'accueil de l'app ou ses Réglages, vous pouvez vous connecter à un compte Twoody en ligne, ou en créer un quand les inscriptions sont ouvertes. Dans ce cas seulement, l'app échange avec ce compte (partie B). Depuis la version 0.13.20, vos conversations synchronisées y sont gardées chiffrées de bout en bout (bêta) : vos appareils partagent une clé que nos serveurs n'ont jamais. Les conversations privées, marquées d'un chapeau et de lunettes, restent sur votre ordinateur et ne passent pas par nos serveurs. L'app iPhone, en bêta privée, joint votre ordinateur loin de chez vous par un relais chiffré de bout en bout, qui voit des jetons de compte, des adresses IP, la taille et l'heure des messages, pas leur contenu, et ne garde les messages chiffrés que le temps de les transmettre (deux minutes au plus). Des conversations plus anciennes restent gardées en clair sur nos serveurs : elles sont listées dans la partie B, avec la façon de les effacer.
15 Plusieurs ordinateurs de confiance
Avec un compte, vous pouvez faire confiance à plusieurs de vos ordinateurs (« Faire confiance à cet ordinateur », dans Appareils). Ils partagent alors votre historique et vos mémoires, chiffrés de bout en bout, et une question peut chercher dans les documents de tous vos ordinateurs de confiance. Vos documents restent sur l'ordinateur qui les garde : seuls des extraits, avec le nom de leur document, et les fichiers que vous ouvrez depuis une réponse passent d'un ordinateur à l'autre, uniquement entre vos propres appareils et chiffrés de bout en bout, parfois par le relais de Twoody, qui ne peut pas les lire. Pour relier un ordinateur à votre compte, vous saisissez le code qu'il affiche et un secret à usage unique, qui n'est jamais envoyé à nos serveurs ; chaque ordinateur a aussi un « code de sécurité », à comparer avec celui qu'il affiche lui-même avant de lui faire confiance. Un ordinateur de votre foyer ou partagé, comme un ordinateur auquel vous ne faites pas confiance, ne reçoit que la conversation qu'on lui envoie : jamais de clés, de mémoires ni de documents.
16 Un ordinateur sans écran
Un ordinateur sans écran auquel vous faites confiance (un Raspberry Pi, par exemple) garde les clés de votre historique chiffré sur son disque : si quelqu'un emportait ce disque ou sa carte mémoire, il pourrait lire votre historique et vos mémoires. Nous vous conseillons de chiffrer tout son disque. Lui retirer votre confiance change les clés : il ne pourra pas lire ce qui sera écrit ensuite, mais ce qu'il a déjà reçu ne peut pas être repris.
Ce site
twoody.com et ses pages.
17 Cookies
Les pages de ce site ne déposent aucun cookie. Seul le compte en ligne en utilise, quand vous vous y connectez : _twoody_session (connexion et sécurité des formulaires, supprimé à la fermeture du navigateur), et remember_user_token si vous cochez « Se souvenir de moi ». Aucun cookie de mesure d'audience ni de publicité.
18 Mesure d'audience
Ni cookie de mesure, ni pistage publicitaire. Nous mesurons la fréquentation du site de trois façons, sur la base de notre intérêt légitime à savoir comment il est trouvé et utilisé. Sur les pages de présentation, Cloudflare Web Analytics compte les pages vues, les sites d'origine, les pays, les types d'appareil et la vitesse des pages, avec un script de Cloudflare, sans cookie ni identifiant. Quand une visite arrive d'une campagne (paramètres utm_…, identifiant de clic publicitaire) ou d'un autre site, nos serveurs l'enregistrent : source, campagne, page d'arrivée, site d'origine, navigateur, pays et adresse IP tronquée (le dernier nombre d'une adresse IPv4 remplacé par zéro, une adresse IPv6 réduite à son préfixe /48) ; nous gardons ces enregistrements 13 mois, puis ils sont supprimés. Enfin, un clic sur un bouton de téléchargement est compté, avec la page, la campagne et le site d'origine de la visite, le pays, le type d'appareil et ce que le navigateur dit de la navigation (un clic de la personne, ou un lien suivi sans clic, comme le fait un scanner de liens), sans adresse IP ; nous gardons ces clics. Nous comptons aussi les fichiers que sert downloads.twoody.com (fichiers d'installation, mises à jour de l'app et ses vérifications de mise à jour), d'après les statistiques que Cloudflare tient pour nous : par jour, fichier, pays, système et type de logiciel (navigateur, Homebrew, Twoody…), sans adresse IP ni identifiant ; nous gardons ces totaux. Rien de tout cela n'est relié à un compte. Vous pouvez demander que ces enregistrements soient supprimés, ou vous y opposer.
19 Hébergement
Le site est servi par Heroku, derrière Cloudflare, qui voient votre adresse IP comme tout hébergeur. Il ne charge ni police ni script d'un autre service, hormis le script de mesure de Cloudflare.
20 La liste d'attente
Si vous rejoignez la liste d'attente — pour entrer dans la bêta privée de Twoody, ou être prévenu de son arrivée sur votre plateforme —, le formulaire ne vous demande que votre adresse e-mail. Avec elle, nous gardons ce que votre navigateur et notre CDN (Cloudflare) nous indiquent d'eux-mêmes lors de l'inscription : votre adresse IP ; votre pays, ainsi que le continent, la région, la ville et le code postal que Cloudflare en déduit quand il les donne ; votre type d'appareil, son système et son navigateur, avec leurs versions ; les langues acceptées par votre navigateur ; votre fuseau horaire, la taille et la densité de votre écran, celle de la fenêtre et si l'écran est tactile ; la page où vous vous êtes inscrit, la page qui vous a amené sur ce site et la campagne dont vous veniez (paramètres utm_…, identifiant de clic publicitaire) s'il y en avait une ; la langue de la page ; ainsi que l'adresse IP et le navigateur de votre confirmation. La plateforme dont nous vous préviendrons est celle de votre appareil. Tout cela sert à prouver votre consentement, à vous écrire quand Twoody vous sera ouvert ou arrivera sur votre plateforme, et à savoir d'où viennent les inscriptions. Nous envoyons un e-mail pour confirmer votre adresse (le lien est valable trois jours), un e-mail quand Twoody sera prêt pour vous, et, de temps en temps, les nouveautés de Twoody. La base est votre consentement et, pour sa preuve et pour savoir d'où viennent les inscriptions, notre intérêt légitime ; vous pouvez retirer votre consentement à tout moment : chaque e-mail contient un lien qui supprime aussitôt et définitivement votre adresse, et tout cela avec elle. Nous gardons tout cela jusqu'à votre désinscription ; une adresse jamais confirmée est gardée aussi, mais ne reçoit aucun autre e-mail. Les e-mails sont envoyés par Postmark, aux États-Unis, sans suivi des ouvertures ni des clics ; le transfert repose sur l'EU–US Data Privacy Framework quand le prestataire y participe, et sinon sur les clauses contractuelles types de la Commission européenne.
21 Si vous avez laissé votre email
Si vous avez laissé votre adresse sur ce site pour être prévenu du lancement, avant la liste d'attente, nous l'avons gardée, avec sa date, la langue, le pays, l'adresse IP, le navigateur et la campagne d'arrivée, pour vous écrire à ce sujet. Écrivez-nous pour qu'elle soit supprimée.
Pour tous
22 Si vous nous écrivez
Les emails envoyés à nos adresses (support@twoody.com, hello@twoody.com…) arrivent dans notre messagerie, hébergée par Google (Google Workspace), où nous les gardons pour suivre votre demande.
23 Sécurité
Tous les échanges avec nos serveurs sont chiffrés en transit (HTTPS) ; l'historique synchronisé, vos mémoires synchronisées, les échanges entre vos ordinateurs de confiance, le relais et les ordinateurs partagés sont chiffrés de bout en bout, comme décrit plus haut. Le détail des mesures en place est sur notre page sécurité. En cas de violation de données présentant un risque pour vous, nous la notifions à la CNIL et, si le risque est élevé, nous vous en informons.
24 Vos droits
Selon le RGPD, vous pouvez accéder à vos données, les rectifier, les effacer, en limiter le traitement, vous opposer à un traitement fondé sur notre intérêt légitime, retirer votre consentement à tout moment et demander la portabilité des données que vous nous avez fournies. Écrivez-nous pour exercer ces droits : support@twoody.com ; nous répondons dans un délai d'un mois au plus, et pouvons vous demander de confirmer que la demande vient de vous. Vous pouvez aussi adresser une réclamation à la CNIL (cnil.fr) ou à l'autorité de protection des données de votre pays.
25 Enfants
Le compte en ligne est réservé aux personnes de 16 ans au moins.
26 Modifications
Nous pouvons modifier cette politique. La version en vigueur est celle publiée sur cette page, avec sa date ; un changement important sera aussi annoncé sur ce site.